搜索

[13449] 2018-11-22_美国邮政服务网站漏洞可暴露6000万用户数据，现已修复

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-11-22_美国邮政服务网站漏洞可暴露6000万用户数据，现已修复 美 国 邮 政 服 务 网 站 漏 洞 可 暴 露 6 0 0 0 万 用 户 数 据 ， 现 已 修 复 F r e d d y   F r e e B u f   2 0 1 8 - 1 1 - 2 2 前 言 前 言 美 国 邮 政 服 务 系 统 刚 刚 修 复 了 一 个 严 重 的 网 站 漏 洞 ， 该 漏 洞 使 得 拥 有 美 国 邮 政 服 务 系 统 刚 刚 修 复 了 一 个 严 重 的 网 站 漏 洞 ， 该 漏 洞 使 得 拥 有 u s p s . c o m 帐 户 的 任 何 人 都 可 查 看 和 修 改 约 帐 户 的 任 何 人 都 可 查 看 和 修 改 约 6 0 0 0 万 用 户 的 账 户 详 情 。 万 用 户 的 账 户 详 情 。 漏 洞 解 构 漏 洞 解 构 该 漏 洞 源 于 U S P S   W e b 组 件 中 的 身 份 验 证 A P I ， 根 据 U S P S 的 说 法 ， 基 于 该 A P I 构 建 的 ” 通 知 可 见 “ 功 能 可 为 企 业 、 广 告 商 和 其 他 批 量 邮 件 发 件 人 提 供 几 乎 实 时 的 数 据 跟 踪 和 获 取 能 力 ， 以 “ 做 出 更 好 的 业 务 决 策 ” 。 该 漏 洞 除 了 公 开 U S P S 商 业 客 户 发 送 的 包 裹 和 邮 件 实 时 数 据 外 ， 还 允 许 任 何 登 录 u s p s . c o m 的 用 户 向 系 统 查 询 其 他 用 户 的 帐 户 详 情 ， 例 如 电 子 邮 件 地 址 、 用 户 名 、 I D 、 帐 号 、 街 道 地 址 、 电 话 号 码 、 授 权 用 户 、 邮 寄 活 动 数 据 和 其 他 信 息 。 与 A P I 相 关 的 功 能 均 支 持 “ 通 配 符 ” 搜 索 参 数 ， 也 就 是 说 它 们 可 以 返 回 给 定 数 据 集 的 所 有 记 录 ， 而 无 需 搜 索 特 定 术 语 。 除 了 需 要 了 解 如 何 查 看 和 修 改 由 C h r o m e 或 F i r e f o x 等 常 规 W e b 浏 览 器 处 理 的 数 据 元 素 之 外 ， 无 需 特 殊 的 黑 客 工 具 来 提 取 这 些 数 据 。
U S P S 宣 传 册 ， 宣 传 ” 通 知 可 见 服 务 “ 的 优 势 和 好 处 如 果 多 个 帐 户 共 享 一 个 公 共 数 据 元 素 （ 例 如 街 道 地 址 ） ， 则 使 用 该 A P I 进 行 搜 索 会 显 示 多 个 记 录 ， 这 样 一 来 就 可 以 对 其 他 用 户 的 信 息 进 行 查 看 、 修 改 等 操 作 。 影 响 影 响 通 过 “ 通 知 可 见 ” A P I 获 得 对 帐 户 相 关 数 据 库 条 目 的 修 改 能 力 ， 可 能 会 给 U S P S 的 大 客 户 带 来 问 题 ， 试 想 一 下 像 N e t f l i x 这 样 的 公 司 以 及 其 他 需 要 大 批 量 发 送 邮 件 的 客 户 ， 要 是 A P I 允 许 任 何 用 户 将 常 规 u s p s . c o m 帐 户 转 换 为 I n f o r m e d   V i s i b i l i t y 业 务 帐 户 ， 中 间 损 失 的 费 用 怎 么 算 。 此 外 ， 这 也 会 给 垃 圾 邮 件 发 送 者 和 电 子 邮 件 诈 骗 者 提 供 可 趁 之 机 ， 很 容 易 被 用 来 构 建 大 规 模 针 对 性 垃 圾 邮 件 攻 击 或 鱼 叉 式 网 络 钓 鱼 。 * 参 考 来 源 ： k r e b s o n s e c u r i t y ， F r e d d y 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理